Hukuk Bürosu Sızma Testi (Pentest)
Bir siber saldırgan büronuzu test etmeden önce siz kendi güvenliğinizi test edin; müvekkil sırlarını ve baro disiplin riskini doğurabilecek güvenlik açıklarını gerçek hasar oluşmadan tespit edip kapayın.
Kimler için uygun?
Hukuk bürosu sızma testi; müvekkil sırrını ve hassas hukuki belgeleri dijital ortamda işleyen, koruyan veya ileten her hukuki yapılanma için stratejik bir zorunluluktur.
Orta ve Büyük Ölçekli Hukuk Büroları
On veya daha fazla avukattan oluşan, sunucu altyapısı ve kurumsal e-posta sistemi bulunan bürolar, saldırganların en çok hedef aldığı gruptur. Bu bürolarda hem iç ağ hem de uzaktan çalışma (VPN, bulut) güvenliği ayrı ayrı test edilir. Personel sayısı arttıkça insan kaynaklı güvenlik açıkları (phishing, sosyal mühendislik) da orantılı artar.
Şirket İçi Hukuk Birimleri
Holdingler ve büyük şirketlerin hukuk departmanları kurumsal BT sistemleriyle entegre çalışır. Bu birimlerde sızma testi; hem hukuk biriminin özgün güvenlik duruşunu hem de kurumsal ağla olan bağlantı noktalarını kapsar. ISO 27001 veya SOC 2 sertifikasyonu sürecindeki şirketler için bağımsız teknik doğrulama belgesi niteliği taşır.
Arabuluculuk Merkezleri ve Tahkim Kurumları
Arabuluculuk süreçlerinde tarafların iletişim trafiği ve tutanaklar gizlilik gerektirir. Bu kurumların güvenlik açığı taşıyan sistemleri hem tarafların hem de sürecin bütünlüğünü riske atar. Sızma testi bu kurumların güvenilirliğini kanıtlayan teknik bir referans belgesi olur.
Dijital Dönüşüm Sürecindeki Bürolar
Kâğıt tabanlı çalışmadan dijital sisteme geçiş yapan veya yeni bir yazılım altyapısı kuran bürolar için sızma testi, bu geçişin güvenli tamamlandığını bağımsız olarak doğrular. Yazilim.pro olarak HukukiUzman, İçtihatPro ve Yayla Law gibi hukuk teknolojisi projeleri geliştirmiş ekibimiz, bu sektörün özgün güvenlik gereksinimlerini iyi bilir.
Hangi problemi çözer?
Türk hukuk bürolarının dijital altyapısında yaygın olarak karşılaşılan güvenlik açıkları belirli kategorilerde yoğunlaşmaktadır. Sızma testi her birini sistematik biçimde ortaya çıkarır.
Yaygın Güvenlik Açıkları
| Açık Kategorisi | Hukuk Bürosuna Özgü Risk | Olası Sonuç |
|---|---|---|
| Zayıf e-posta güvenliği | Müvekkil yazışmaları ele geçirilebilir | Müvekkil sırrının ifşası, baro disiplini |
| Eski yazılım ve işletim sistemi | Yamanmamış açıklar istismar edilir | Fidye yazılımı, veri hırsızlığı |
| Zayıf parola politikası | Uzak erişim sistemlerine kaba kuvvet | Dava dosyalarına yetkisiz erişim |
| Phishing açığı | Avukatlar sahte e-postaya tıklar | Kimlik bilgileri çalınır, ağa sızılır |
| Güvensiz WiFi | Ofis ağında gizli dinleme | İletişim trafiği dinlenir |
Müvekkil Sırrı ve Baro Yükümlülükleri
Avukatlık Kanunu'nun 36. maddesi avukatı sır saklamakla yükümlü kılar. Siber bir saldırı sonucunda müvekkil verilerinin üçüncü kişilerin eline geçmesi bu yükümlülüğü ihlal eder. Ayrıca KVKK'nın 12. maddesi kapsamında veri sorumlusu sıfatıyla alınmayan teknik önlemler idari para cezasına yol açar.
Farkındalık Eksikliği
Pek çok hukuk bürosu antivirüs yazılımının yeterli olduğunu düşünür. Oysa modern saldırıların önemli bir kısmı antivirüsü atlatır; hedefli saldırılar (APT) ise aylarca fark edilmeden sistemde kalabilir. Sızma testi bu körlüğü ortadan kaldırır ve somut bulgular üretir.
Somut teslimatlar
- Kapsamlı Teknik Sızma Testi Raporu — Risk düzeyine göre sınıflandırılmış tüm bulgular, teknik kanıtlar ve iyileştirme önerileri.
- Yönetim Özet Raporu — Teknik olmayan yöneticiler için hazırlanmış, iş risklerini ve öncelikleri özetleyen belge.
- OSINT Ayak İzi Raporu — Büronun kamuya açık dijital izini haritalayen pasif keşif bulgular özeti.
- İyileştirme Öncelik Listesi — Kritikten düşüğe sıralı, her açık için öneri içeren aksiyon planı belgesi.
- Re-test Belgesi (Opsiyonel) — Kapatılan kritik bulgularının iyileştirme sonrası doğrulandığını gösteren teyit raporu.
- KVKK Teknik Tedbir Uyum Belgesi — Sızma testi sürecini ve iyileştirme adımlarını belgeleyen KVK Kurulu uyum kanıtı.
Süreç nasıl işler?
Sızma testi; planlama, keşif, saldırı simülasyonu, raporlama ve iyileştirme doğrulaması olmak üzere beş aşamada gerçekleştirilir. Tüm süreç yazılı sözleşme ve açık kapsam belgesiyle yürütülür.
- Kapsam ve Kural Belirleme (1. Hafta): Test edilecek sistemler (web sitesi, iç ağ, e-posta altyapısı, VPN, bulut hizmetleri) ve test saatleri yazılı sözleşmeyle belirlenir. Çalışan farkındalık testleri (sosyal mühendislik simülasyonu) kapsama dahil edilip edilmeyeceğine karar verilir. Kapsam belgesi imzalandıktan sonra test başlar.
- Pasif Keşif (OSINT) (1-2. Hafta): Büronun kamusal dijital ayak izi haritalanır: domain bilgileri, açık portlar, çalışan isim/e-posta listeleri, web sitesinde gömülü meta veriler ve sızdırılmış kimlik bilgileri veritabanlarında büroyla ilişkili kayıtlar araştırılır. Bu aşama büyük miktarda bilgi üretir.
- Aktif Test ve Saldırı Simülasyonu (2-4. Hafta): Ağ açık taraması, web uygulama güvenlik testleri (SQL injection, XSS, kimlik doğrulama zafiyetleri), e-posta güvenliği testleri (SPF/DKIM/DMARC yapılandırması, phishing simülasyonu) ve kimlik doğrulama sistemleri test edilir. Gerçek bir saldırgan gibi davranarak zincirleme açıklar aranır.
- Raporlama (4-5. Hafta): Tüm bulgular risk düzeyine göre (Kritik, Yüksek, Orta, Düşük) sınıflandırılır. Her bulgu için teknik kanıt, iş etkisi açıklaması ve somut iyileştirme önerisi sunulur. Teknik rapor ile yönetim özeti olarak iki ayrı format hazırlanır.
- İyileştirme Doğrulaması (5-6. Hafta): Tespit edilen kritik ve yüksek riskli açıklar kapatıldıktan sonra isteğe bağlı re-test gerçekleştirilir. Kapatılan açıkların gerçekten düzeltildiği doğrulanır ve nihai uyumluluk belgesi düzenlenir.
Fiyatlandırma
Hukuk bürosu sızma testi 50.000 TL'den başlayan tek seferlik hizmet bedeliyle sunulur. Büronun ağ büyüklüğüne, test kapsamına ve çalışan sayısına göre fiyat değişir. Yıllık dönemsel pentest programları için özel paket fiyatlandırması yapılır.
Sizden gerekenler
- Test kapsamının (IP aralıkları, domain listesi, uygulamalar) ve yetkili iletişim kişisinin belirlenmesi
- Yazılı kapsam sözleşmesi ve gizlilik anlaşmasının imzalanması ile test yetki belgesi düzenlenmesi
- Test süresince acil durum iletişim hattının (7/24 ulaşılabilir BT sorumlusu veya yönetici) açık tutulması
Kapsam dışında
- UYAP, e-Devlet ve Adalet Bakanlığı altyapısına yönelik testler (yasal olarak kapsam dışıdır)
- Tespit edilen açıkların kapatılması için gereken yazılım güncellemeleri veya donanım değişikliği maliyetleri
- Yılda birden fazla tam kapsamlı sızma testi (dönemsel testler ayrı sözleşmeyle fiyatlandırılır)
Güvenlik, KVKK ve gizlilik
Sızma testi doğası gereği hassas sistemlere erişim içerdiğinden, bu hizmetin kendisi de sıkı gizlilik protokolleri altında yürütülür.
Gizlilik Sözleşmesi
Test başlamadan önce kapsamlı bir gizlilik ve gizli bilgi sözleşmesi (NDA) imzalanır. Test süresince elde edilen tüm bilgiler yalnızca tespit edilen açıkların raporlanmasında kullanılır; başka amaçlarla işlenmez veya üçüncü taraflarla paylaşılmaz.
KVKK Kapsamında Teknik Tedbir Kanıtı
Sızma testinin tamamlanması ve bulgularına göre iyileştirme yapılması, KVKK'nın 12. maddesi kapsamında teknik önlemlerin alındığına dair somut kanıt niteliği taşır. Bu belge, olası bir KVK Kurulu denetimine karşı savunma aracıdır.
Test Verilerinin Güvenli Silinmesi
Test süresince sistemlerde bırakılan test araçları, oluşturulan test hesapları ve toplanan sistem verileri test tamamlandıktan sonra güvenli olarak silinir ve silme tutanağı teslim edilir.
Etik Hackleme İlkeleri
Tüm testler tanımlı kapsam içinde, büronun bilgisi ve onayıyla yürütülür. Test ekibimiz etik hackleme standartlarına bağlıdır; hiçbir üretim verisi dışarıya çıkarılmaz ve servis kesintisi yaratabilecek testler mesai saatleri dışında gerçekleştirilir.
Sık sorulan sorular
Hayır, servis aksatıcı testler (DoS testleri gibi) yalnızca yazılı onay alındığında ve mesai saatleri dışında gerçekleştirilir. Standart sızma testi büronun normal çalışmasını kesintisiz sürdürürken paralel olarak yürütülür. Herhangi bir aksaklık durumunda test derhal durdurulur.
Sosyal mühendislik ve phishing simülasyonu kapsama dahil edilmesi isteğe bağlıdır. Dahil edilirse hangi çalışanların test edileceği ve bilgilendirilip bilgilendirilmeyeceği önceden belirlenir. Test sonuçları bireysel değil, toplu istatistik olarak raporlanır; disiplin amaçlı kullanılmaz.
Her bulgu için somut iyileştirme adımları raporda açıklanır. Kapatma çalışmalarını büronuzun BT ekibi veya dış hizmet sağlayıcısı yapabilir; biz teknik destek sunarız. Kritik ve yüksek riskli bulgular için opsiyonel re-test ile iyileştirmenin doğru yapıldığı teyit edilir.
En az yılda bir kez yapılması önerilir. Yeni yazılım kurulumu, ofis taşıması, personel değişikliği veya güvenlik olayı yaşandıktan sonra ek test önerilir. Dönemsel pentest programları için yıllık sözleşmeli paketlerimiz bulunmaktadır.
Sızma testi raporu teknik bir iş belgesidir ve KVK Kurulu denetimlerinde teknik tedbir alındığını gösteren kanıt olarak sunulabilir. Bununla birlikte, resmi hukuki delil niteliği mahkemenin takdirindedir ve bu konuda hukuki tavsiye verme yetkimiz bulunmamaktadır.
Hayır. UYAP ve e-Devlet sistemleri Adalet Bakanlığı ve Türkiye Cumhuriyeti'nin BT altyapısıdır; bu sistemlere karşı izinsiz test yapmak yasal değildir ve kapsamımız dışındadır. Büronuzun bu sistemlere bağlantı noktaları (yerel ağ, VPN) ise test kapsamına alınabilir.
İlgili ürünler
Sonraki adım
Kapsamı netleştirelim, şeffaf bir teklif çıkaralım. Hazır olmayan hiçbir şeyi "hemen kullanın" diye satmıyoruz.
Teklif Al